GrapheneOS ve Adli Veri Çıkarma (2024)

• GrapheneOS, yüksek güvenlik ve gizlilik seviyesiyle öne çıkıyor ve iOS ile yarışan bir düzeyde
• 2024 Mayıs'ta sosyal medyada GrapheneOS'un veri çıkarmaya karşı savunmasız olduğu yönünde asılsız bir saldırı ortaya çıktı
• Cellebrite gibi adli bilişim araçları çoğu Android/iOS cihazında rıza dışı çıkarım yapabilirken, GrapheneOS güncel güvenlik yamaları uygulandığında aşılamıyor
• Consent-based veri çıkarımı, kullanıcının kendi cihazının kilidini açtığı durumdur; çıkarım yalnızca bu durumda mümkündür
• Pixel 6 ve sonrası ile GrapheneOS birleşimi, parola brute-force saldırıları ve USB bağlantısı üzerinden yapılan hack girişimleri dahil modern saldırıları engeller

---

GrapheneOS'a genel bakış ve sosyal medya saldırısının arka planı

• GrapheneOS, Android tabanlı, açık kaynaklı, güvenlik ve gizlilik odaklı bir işletim sistemidir; iOS seviyesinde hatta daha da yüksek koruma sağlayabilir
• 2024 Mayıs'ta, sosyal medyada GrapheneOS'un adli bilişim araçları tarafından aşıldığı yönünde bir yanlış algı oluşturmaya çalışan bir saldırı yaşandı
• Gerçekte bu, kullanıcı rızasına (consent) dayalı bir veri çıkarımı örneğinin kötü niyetli biçimde çarpıtılması ve GrapheneOS'un savunmasızmış gibi yanlış aktarılmasıydı

Dijital adli bilişim ve veri çıkarımına genel bakış

• Dijital adli bilişim, elektronik delillerin toplanması ve analiz edilmesi sürecidir
• Bu süreçte bilgisayarlar, akıllı telefonlar ve depolama ortamları gibi çeşitli cihazlardan suç delili veya hukuki uyuşmazlıklarla ilgili veriler çıkarılır ve incelenir
• Ancak adli bilişim teknolojileri, mahremiyet ihlali, misilleme veya delil manipülasyonu için kötüye kullanılabilir
• GrapheneOS, rıza dışı veri çıkarımını ve cihaz kurcalanmasını önlemek amacıyla çeşitli güvenlik önlemleri geliştiriyor

Cellebrite ve etkisi

• Cellebrite, İsrail merkezli önde gelen bir dijital adli bilişim şirketidir; UFED (Universal Forensic Extraction Device) aracıyla tanınır
• Ekipmanlarını hükümetlere ve adli kurumlara yasal olarak satsa da, otoriter rejimlere ve insan haklarını bastıran ülkelere de satış yapmaktadır
• Bu araçla dünyanın birçok bölgesinde akıllı telefonlardan veri çıkarma girişimleri yapılmaktadır

Veri çıkarım yöntemleri ve teknik arka plan

• Dijital adli bilişimin ilk adımı, mobil cihazdan veri çıkarımıdır
• Cihaz kilitliyse, parola/PIN tahmini için çeşitli yöntemler (hackleme, brute-force) denenir
• Akıllı telefonların iki durumu vardır:
  • BFU (Before First Unlock): Açılıştan sonra henüz hiç kilit açılmamış durum; iç veriler tam şifreli olduğundan adli analiz çok zordur
  • AFU (After First Unlock): Kilit açıldıktan sonraki durum; anahtarlar bellekte tutulduğundan veri erişimi görece daha kolaydır

Gerçek veri çıkarım pratiği

• AFU durumu: Yazılım açıkları vb. kullanılarak atlatma ya da ekran kilidini kaldırma sonrası veri çıkarımı denenir
• BFU durumu: PIN/parolayı brute-force (tüm kombinasyonları deneme) ile bulmaya çalışırlar

Cellebrite'ın güncel veri çıkarma kapasitesi

• 2024 Nisan'ında yayımlanan materyallere göre GrapheneOS hariç tüm Android markaları AFU veya BFU durumundan bağımsız olarak hacklenip verileri çıkarılabiliyor

• En yeni iOS cihazları için de kısmi destek bulunuyor; çoğu iPhone kullanıcısı güncel yamaları otomatik aldığı için risk azalıyor

• NSO (Pegasus'un geliştiricisi), iOS'un en güncel sürümlerindeki açıkları çok hızlı istismar etmiş örneklere sahip

• GrapheneOS, 2022 sonundan bu yana güvenlik güncellemeleri uygulanmışsa Cellebrite tarafından bile hacklenemediğini resmen kabul ettirdi

• Güncellemeler varsayılan olarak otomatik etkin olduğundan, kullanıcıların büyük bölümü en güncel güvenlik düzeyini korur

• Ancak kullanıcı cihazın kilidini kendisi açarsa (consent-based), iOS, Android ve GrapheneOS'ta veri çıkarımı mümkündür

  • GrapheneOS'ta geliştirici seçenekleri ve adb aracı kullanılarak tüm verilere erişilebilir

• Pixel 6 ve sonrası + GrapheneOS kombinasyonu, rastgele 6 haneli PIN kombinasyonlarını bile brute-force ile kırılamaz hale getirir

Sosyal medya saldırısı olayı ve gerçekler

• 2024 Mayıs'ta sosyal medyada, GrapheneOS'ta consent-based çıkarımın başarıldığı bir örnek üzerinden güvenlik açığı varmış gibi asılsız iddialar yayıldı
• Geçmişte de Signal şifrelemesinin kırıldığı söylentisi gibi benzer yanlış örnekler görüldü (gerçekte kullanıcı uygulamayı kendisi açıp adli incelemeye sunmuştu)

GrapheneOS'un adli hacklemeye karşı savunma stratejisi

Telefon hacklenmesini önleyen başlıca özellikler

• Kullanıcı cihazı kilitliyken (ekran kilidi vb.), yeni USB bağlantılarını engelleme ve donanım seviyesinde port kapatma özelliği sunar
• BFU, AFU ve tam kilit açılmış durum gibi çeşitli senaryolarda, kullanıcının istediği seviyeye kadar USB'yi tamamen devre dışı bırakma ayarı yapılabilir
• 2024 itibarıyla Pixel firmware'ine kadar güvenlik güçlendirilmiştir

Brute-force saldırılarına karşı savunma

• Pixel 6 ve üzeri cihazlarda Titan M2 (donanım güvenlik modülü) bulunur ve şifreleme anahtarlarını korur
• 5 yanlış girişten sonra 30 saniye bekleme, 30 ve 140 denemeyi aşınca bekleme süresinin artması, sonrasında günde yalnızca 1 girişe izin verilmesi (secure element throttling)
• AVA_VAN.5 seviyesinde bağımsız değerlendirmeden geçerek çok yüksek güvenlik düzeyini kanıtlamıştır
• iOS, Samsung ve Qualcomm güvenlik modülleri kurumsal saldırganlarca zaten aşılmış olsa da, GrapheneOS + Pixel 6 ve üzeri kombinasyonunda son yıllarda başarılı bir örnek yoktur

Otomatik yeniden başlatma (auto reboot) özelliği

• Varsayılan 18 saatlik ayar (10 dakika ile özel olarak değiştirilebilir) dolduğunda otomatik yeniden başlatılır; kullanılmadığında cihaz BFU durumuna döner
• Bu nedenle bir saldırgan exploit geliştirse bile gerçek saldırı penceresi (kullanıcının kilidi açmasından yeniden başlatmaya kadar) sınırlı kalır

Sonuç ve gelecek görünümü

• GrapheneOS ekibi, çeşitli güvenlik güçlendirmelerini ve otomatik güvenlik özelliklerini sürekli geliştiriyor
• Gelecekte parmak izi + PIN ile iki aşamalı doğrulama, rastgele passphrase için otomatik UI gibi daha güçlü ve kullanışlı korumalar eklenmesi planlanıyor
• Gelişmiş saldırı gruplarının bile aşamadığı bir durumda yanlış bilgi yayılmaya çalışılsa da, buna karşı savunma ancak olgulara dayalı bilgiyle mümkündür

[GN⁺]

Hacker News görüşleri

• "Kötü hükümet" ve "iyi hükümet" diye bir şeyin var olmadığını düşünüyorum; sonuçta her şey insanların bakış açısına göre değişiyor. Bu yüzden, sadece hükümet bizi teröristlerden ya da çocuk istismarcılarından koruyor diye bütün verilerimizi koşulsuzca ona emanet etmemeliyiz. Sonuçta hükümetler eninde sonunda masum vatandaşları suistimal eder. Bu şu anda zaten oluyor olabilir ve belki de daha fazla kontrol talep ediliyordur.
  • Hükümet halkın ihtiyaçlarını (istediklerini değil) düzgün şekilde karşılayamıyorsa, işte bu kötü hükümettir diye düşünüyorum. Sokaklarda çeteler, hırsızlar, uyuşturucu ve hastalık kol geziyorsa, bunu halkın bakış açısı meselesi olarak değil, hükümetin çözmesi gereken kötü bir durum olarak görmek gerekir. Böyle bir rolü yoksa hükümetin var olmasının da bir anlamı yok.
  • Bu yüzden ister hükümet ister başka biri olsun, veri yönetimini körü körüne teslim etmek doğru değil. En azından hükümetler kamu yararı iddiasında bulunur; şirketlerin ise tek motivasyonu hissedar kârıdır.
  • Teoride ilginç bir argüman, ama benim geldiğim ülkede gerçek hayatta hükümet insanların telefonlarını inceleyip hükümet karşıtı davranışları ya da sosyal medya faaliyetlerini kanıt olarak kullanarak çok uzun hapis cezaları veriyor. Yakın tarihli bir örnek için bu bağlantıya bakılabilir. GrapheneOS ne kadar güvenli olursa olsun, bu tür tehditlerden gerçekten kaçınmak için tamamen temiz bir telefon şart.
  • Birinin kasıtlı olarak konuyu bulandırdığını düşünüyorum. Bu mesele artık tartışmaya açık bile değil. Vatandaşları kaçıran, işkence eden, öldüren ve "kaybeden" hükümetler açıkça kötü hükümettir. Tarihte ve günümüzde Çin, Rusya, Meksika, Kuzey Kore, Belarus, Balkanlar ve birçok Afrika ülkesi bunun örneğidir. Komşularımın %34'ü benim toplama kampına gönderilmemi istiyor diye bu meşrulaşmaz. Ben de şahsen böyle yerlere asla gitmek istemem. Ayrıca "bakış açısına göre değişir" tarzı örnekler, kötü hükümetin tipik örnekleridir. İyi hükümet olmak aslında zor değil; sadece kötü davranmamak yeter.
  • Bu düşünce biçiminin oldukça sorunlu olduğunu düşünüyorum; yani hükümet kişisel görüşlerle uyuşmuyorsa hemen kötü hükümet ilan ediliyor. Medeniyetin farklı görüşlere sahip çok sayıda insanla birlikte yaşayabilmesi için bazen uzlaşma gerektiği unutuluyor gibi.
• GrapheneOS'u gerçekten çok seviyorum, ama kullanıcı kimliği doğrulanmışken uygulamaların özel verilerini çıkarabilen ya da root shell alınabilen bir sürüm olsaydı mükemmel olurdu. Geliştiriciler root erişiminin güvenlik modelinde büyük bir delik açtığını söylüyor, ama eğer root'u güvenli kullanmanın bir yolu olsaydı, istediğim uygulamayı doğrudan kendim değiştirip kullanabilirdim; bu da onu benim için ideal işletim sistemi yapardı. Elbette indirip kendim imzalayabilirim ama o kadar uğraşmak istemiyorum.
  • GrapheneOS'ta da root yapılandırması mümkün, ancak bu durumda veriler sıfırlanıyor; bu yüzden mutlaka yedek almak gerekiyor. Gerçekten root gerekiyorsa, veri yedekleme -> root yetkisini etkinleştirme -> geri yükleme şeklinde bir akış izlenebilir.
  • Ben de bu özelliği istiyorum. adb root için kendi userdebug derlememi kullanıyorum, ama bunun resmî olarak desteklenmesi çok daha iyi olurdu.
  • İkisine birden sahip olamazsınız demek oluyor bu. Root erişimi çok büyük bir güvenlik açığıdır, bu yüzden resmî sürümde asla desteklenmeyecek. Kendi özel anahtarlarınızı ve imajlarınızı üretmekten başka yol yok.
  • Telefonda root etkinleştirildiğinde tehdit modelinin ne olduğunu ve bunun neden tamamen engellenemediğini merak ediyorum. Çoğu sunucu ya da masaüstü sistem root etkinken de büyük sorun yaşamadan kullanılabiliyor.
• [2024]. Bu yazı taslak gibi görünüyor; yazarın blogunda görülebilir: https://telefoncek.si/2024/05/2024-05-30-grapheneos-and-forensic-extraction-of-data/
• Bunu okuyunca bir Pixel alıp GrapheneOS kurmayı denemek istedim. Büyük şirketlerin bir ölçüde gizliliği koruma iradesi olduğunu varsaysak bile, sonuçta yasal olarak hedef alınmaları kolay. Eğer ABD ya da AB yarın tüm mobil cihazlarda arka kapıyı zorunlu kılan bir yasa geçirirse, bunun etkisi tüm dünyaya yayılır.
  • Bunu oldukça ucuza denemek mümkün. Ben eBay'den 250 dolara yenilenmiş bir Pixel 7 Pro aldım ve GrapheneOS kurdum. Dışarı çıktığımda kullandığım, 20 dolarlık eSim tarifeli özel telefonum bu. Seyahatte kaybolsa ya da çalınsa da umursamam; sadece eSim'i iptal eder, başka bir Pixel alır ve yeniden GrapheneOS kurarım. Evde ise ana telefonum olan Pixel 10 Pro güvenle durur.
  • Bildiğim kadarıyla Birleşik Krallık hükümeti, 2016 tarihli Investigatory Powers Act'e dayanarak Apple'dan bir arka kapı üretmesini istemeye çalıştı ama Apple bunu reddetti.
  • Son Pixel'im (4a) yaklaşık bir buçuk yıl sonra oldukça kötü duruma geldi. Daha dayanıklı bir Android cihaz olup olmadığını merak ediyorum. Apple SE'yi yıllarca sorunsuz kullandığım için tekrar Apple'a döndüm. Yine de GrapheneOS'u gerçekten denemek istiyorum.
  • Ben de GrapheneOS yüzünden bir Pixel almak istiyorum ama Google, trilyon dolarlık bir şirket olmasına rağmen küresel satış konusunda hep isteksiz davranıyor.
• Bu içerik bana internetteki bir tahmini başka bir internet tahminiyle çürütmeye çalışma gibi geliyor. Cellebrite en yeni cihazlara dair destek durumunu açıklamadığı için, yakın dönem iPhone veya iOS, Pixel 9/10 ya da en güncel Android OS için tam olarak hangi ilerlemelerin kaydedildiğini sıradan kullanıcılar bilemez. Yine de her iki şirketin de resmen açıkladığı şey, Apple'ın Advanced Data Protection kullanıldığında Google'dan çok daha fazla uçtan uca şifreleme sunduğu ve her ikisinin de donanım ile platform güvenliğine yatırım yaptığıdır (ör. Apple'ın SEAR'ı). GrapheneOS'un varlığı başlı başına olumlu, ama bu gönderinin kendisinin pratikte çok yardımcı olduğunu sanmıyorum.
  • Bu yılın başında sızdırılan belgede Pixel 9 da yer alıyor. En azından sızıntı anındaki materyale göre, 2022 sonrası yamaları uygulanmış GrapheneOS Cellebrite tarafından desteklenmiyor olarak işaretlenmiş ve stok Google firmware'inden bile daha güvenli. GrapheneOS'un bu tür tartışmalardan kaçınabilmesinin nedenlerinden biri, kullanılabilirlik uğruna Google'ın çekindiği USB portu devre dışı bırakmayı kararlı biçimde uygulaması. Google, Samsung ve Apple'dan (none-lockdown mode) farklı olarak GrapheneOS, kullanıcı arabaya, ekrana, USB belleğe ya da 3.5 mm jak adaptörüne telefon bağlamak istediğinde her zaman kilit açma istiyor; böylece daha az şikâyetle karşılaşıyor. Ayrıca güvenliği artırmak için derleme sırasında performans düşüşünü göze alarak çeşitli seçenekler ekliyor ve bunların, nadir de olsa bazı saldırılar başarıya ulaştığında savunmada kritik rol oynadığına dair örnekleri bizzat anlatıyor (GrapheneOS örneği). Cellebrite'ın şu anki son durumunu bilemesek de, 3 yıldan uzun süredir düzgün şekilde aşamamış olması GrapheneOS'a güvenimi artırıyor. Elbette GRU ya da NSA'in istisnai saldırı yöntemleri olabilir, ancak şu anda piyasada satılan araçlarla GrapheneOS'un kırıldığına dair bir belirti yok.
  • Birisi GrapheneOS geliştiricilerine Cellebrite destek durumunu sürekli sızdırıyor. Bu kayıtlara göre, resmî belgelerde yalnızca 2022 öncesi yama düzeyine sahip GrapheneOS sürümlerinin hacklenebildiği açıkça belirtiliyor. 2025 Haziran tarihli en güncel belgeye kadar ellerinde var ve isterlerse daha fazlasını da alabilirler, ancak şu anda daha acil işleri olduğu için hemen bununla ilgilenmeyi planlamıyorlar. Bir durum ortaya çıkarsa materyalleri ileten kilit kaynak doğrudan iletişime geçeceği için endişe etmiyorlar (bağlantı).
• iOS'tan GrapheneOS'a geçmeyi düşünüyorsanız, şu geçiş rehberi ve inceleme faydalı olabilir: https://blog.okturtles.org/2024/06/the-ultimate-ios-to-grapheneos-migration-guide-and-review/
  • Apple Photos ve Google Photos yerine kullanılabilecek Ente gibi güvenilir hizmetler de var. Bunun dışında da çeşitli alternatifler mevcut.
  • Biraz konu dışı olabilir ama GrapheneOS şu anda kaç ekip üyesi tarafından sürdürülüyor merak ediyorum. Daniel Micay bir anda ortadan kaybolsa, geliştirmeyi hemen devralıp sürdürebilecek insanlar ve altyapı hazır mı, bunu bilmek isterim.
• "...çünkü GrapheneOS bu saldırılara karşı iOS'tan daha güçlü güvenlik sağlıyor. iPhone'un da secure element'i var ama saldırganlar bunu uzun süredir aşıyor. Samsung ve Qualcomm için de aynı durum geçerli" iddiası hakkında, Pixel'in gerçekten brute-force saldırılarına daha dayanıklı olup olmadığını ve iPhone gibi cihazların bu tür araçlarla daha kolay kırılıp kırılmadığını merak ediyorum.
  • Bu değerlendirmenin çoğuna katılmıyorum. GrapheneOS'a büyük saygım var, ancak eleştiri geldiğinde zaman zaman pazarlama abartısına yakın ifadeler de ortaya çıkabiliyor. İlgili haberler ya da bilgiler, Cellebrite'ın destek listesi sızıntılarına dayanıyor; yani zamanlamaya göre değişebilir. Yazının yazıldığı dönemde Cellebrite, iPhone 12 öncesi cihazlara (güvenli depolama bileşeni öncesi) brute-force ile erişebiliyordu ve iPhone 12 için iOS 17 öncesi sürümlerde kırma araştırma aşamasındaydı. Android tarafında ise Pixel 6'dan (Titan M2 sonrası) itibaren brute-force mümkün değil. Temelde iPhone ve Pixel'in güven modeli neredeyse aynı: kullanıcının parolası güvenli entropiyle karıştırılarak şifreleme anahtarı üretiminde kullanılıyor ve güvenlik işlemcisi deneme sayısını sınırlandırıyor. Apple'ın yapısı resmî belgede çok iyi anlatılmış; Google'ın Weaver'ı da benzer şekilde çalışıyor. Genel olarak en yeni iPhone (iOS) ile en yeni Pixel + GrapheneOS kombinasyonunun ikisinin de sektördeki en üst düzey korumayı sunduğunu düşünüyorum. Yazının dediği gibi, bunun dışındaki çoğu cihaz ve firmware, güvenlik yazılımı tasarımında (ROM, bootloader vb.) ciddi biçimde geride kalıyor.
  • "Kolayca" kısmı çıkarılırsa geri kalanı büyük ölçüde doğru.
• Aklıma ilk gelen güvenlik kaygısı blob'lar. Bunlar Android telefonlarda zorunlu olan kapalı kaynak donanım sürücüleri ve yüksek ayrıcalıklarla çalışıyorlar. GrapheneOS bu sürücüleri çok sıkı sandbox'lamıyorsa, yetkin bir saldırgan Wi‑Fi, modem ya da Bluetooth sürücülerindeki arka kapılar üzerinden güvenliği aşabilir. Böyle blob'larda GrapheneOS geliştiricilerinin ne yaparsa yapsın temelde engellemesinin zor olduğu noktalar var. Örneğin bir Wi‑Fi sürücüsünün PIN girişini ele geçirebildiği bile hayal edilebilir.
  • GrapheneOS bu blob'ları da gerçekten çok sıkı sandbox içinde çalıştırıyor. HN kullanıcısı strcat bu konu hakkında pek çok ayrıntılı açıklama yazdı: strcat'in ayrıntılı yanıtları
• Akıllı telefonun USB portu kullanıldığı sürece tam güvenlik garanti edilemez. Hükümetlerin istediği arka kapı da tam olarak bu yol. Gizlilik ve özgürlük için oy kullanmanızı tavsiye ederim. Siyasi tartışmadan bağımsız olarak, hükümetler bu tür işleri gizlice bütçelendiriyor. AWS gibi platformlarda sayısız taşeron, UFED ile dump edilmiş verileri (yani telefon dizinini zip olarak sıkıştırılmış halde) analiz ediyor. E-postalar, arama kayıtları, operatör ayarları, tarayıcı geçmişi, SMS'ler, çerezler, uygulamalar, uygulama günlükleri ve verileri dahil telefondaki her şey buna giriyor.
  • TFA'ya bakılırsa GrapheneOS USB portunu da devre dışı bırakabiliyor.
• Teknik olarak ilginç olurdu; dijital adli bilişim araçlarının her işletim sisteminin en güvenli yapılandırmasına uygulanıp gerçekte nasıl farklılık gösterdiğini karşılaştıran bir yazı görmek isterdim.
  • "En güvenli yapılandırma" denince, aklıma internete bağlı olmayan ve kapalı durumdaki bir cihaz geliyor.